Datenschutzerklärung KYTH.Kladde

KYTH.Kladde (im Folgenden Kladde) ist eine Anwendung der KYTH. Systems UG (haftungsbeschränkt) unter https://kladde.kyth.systems. In ihr pflegen Unternehmen ihr Firmenprofil und ihre Rechnungsköpfe mit Logo und legen fest, wer in ihrem Bereich mit welcher Rolle mitarbeitet. Diese Erklärung sagt dir, welche Daten über dich verarbeitet werden, wenn du Kladde nutzt, zu Kladde eingeladen wirst, eine Seite von Kladde aufrufst oder uns schreibst, wer dafür verantwortlich ist und welche Rechte du hast (Art. 13 und 14 DSGVO). Sie ist eine Information und kein Vertrag. Eine Einwilligung holen wir nicht ein; keine der hier beschriebenen Verarbeitungen stützt sich auf eine.

1. Verantwortlicher

KYTH. Systems UG (haftungsbeschränkt)
Prof.-Mederer-Straße 4
92348 Berg
Deutschland

Vertreten durch die Geschäftsführer Stefan Grasse und Stephan Wittmann
Registergericht: Amtsgericht Nürnberg, HRB 46313

Kontakt in Datenschutzfragen: datenschutz@kyth.systems
Allgemeiner Kontakt: hello@kyth.systems, Telefon 01575 1603446

Einen Datenschutzbeauftragten haben wir nicht benannt; nach Art. 37 DSGVO und § 38 BDSG sind wir dazu nicht verpflichtet. Für alle Anliegen zum Datenschutz ist die Adresse datenschutz@kyth.systems zuständig.

Wer wofür verantwortlich ist. In Kladde arbeitet jedes Unternehmen in einem eigenen Bereich, dem Mandanten. Mit einem Konto kannst du mehreren Mandanten angehören, etwa dem deines eigenen Betriebs und dem eines Betriebs, den du als Steuerberaterin oder Steuerberater betreust. Für die Daten in Kladde gibt es deshalb zwei Verantwortliche:

Wo diese Erklärung im Folgenden kurz vom Mandanten als Verantwortlichem spricht, meint sie dieses Unternehmen (im Nutzungsvertrag: der Kunde). Für die Daten in der letzten Zeile handeln wir auf Weisung des Mandanten, auf Grundlage des Auftragsverarbeitungsvertrags, den er mit uns schließt; ohne seine Weisung nur, wenn ein Gesetz uns dazu verpflichtet (Abschnitt 8). Welche Rechtsgrundlage der Mandant dafür hat und wie lange er diese Daten aufbewahrt, entscheidet er; Fragen und Anträge dazu richtest du an ihn (Abschnitt 11). Eine gemeinsame Verantwortung nach Art. 26 DSGVO besteht nicht.

Vor dem Vertragsschluss. Der Auftragsverarbeitungsvertrag kommt erst mit der Zustimmung eines Inhabers zustande (Abschnitt 6). Was wir beim Einrichten eines Mandanten auf Anfrage des Kunden eintragen und was bis zur Zustimmung in diesem Mandanten entsteht (etwa der Name des Mandanten, Mitgliedschaften, Einladungen, Einladungsmails und Sitzungen und die Zeilen dazu im Protokoll), verarbeiten wir bis dahin als Verantwortlicher, um den Vertrag anzubahnen: nach Art. 6 Abs. 1 lit. b DSGVO, wenn du selbst der Kunde bist, sonst nach Art. 6 Abs. 1 lit. f DSGVO (unser Interesse und das des Kunden, den Vertrag vorzubereiten). Mit der Zustimmung verarbeiten wir diese Daten im Auftrag des Mandanten weiter. Stimmt binnen drei Monaten nach dem Anlegen des Mandanten kein Inhaber zu oder steht schon vorher fest, dass kein Vertrag zustande kommt, löschen wir diese Daten von Hand (Nutzungsvertrag, Abschnitt 2).

2. Konto

Dein Konto ist deine Anmeldung bei Kladde: deine E-Mail-Adresse und dein Passwort. Es gilt für alle Mandanten, denen du angehörst. Das Konto trägt keinen Namen; deinen Namen führt jeder Mandant an deiner Mitgliedschaft selbst.

Was Kladde zu deinem Konto speichert:

• deine E-Mail-Adresse, verschlüsselt, und einen daraus mit einem geheimen Schlüssel gebildeten Suchwert, über den Kladde dein Konto bei der Anmeldung findet;
• einen Prüfwert deines Passworts (PBKDF2-HMAC-SHA256 mit 600.000 Durchläufen und zufälligem Salz), nie das Passwort selbst;
• den Status deines Kontos (aktiv oder gesperrt) und den Zeitpunkt einer laufenden Sperre;
• den Zeitpunkt der Anlage und deiner letzten Anmeldung;
• die Zahl der gescheiterten Passwortprüfungen an deinem Konto seit deiner letzten erfolgreichen Anmeldung und den Zeitpunkt der letzten davon, gezählt bei der Anmeldung, auch wenn dein Konto gesperrt ist, beim Annehmen einer Einladung, wenn dein Konto schon ein Passwort hat, und beim Ändern deines Passworts;
• Links zum Zurücksetzen deines Passworts als Hashwert mit ihren Zeitpunkten; den Link selbst enthält nur der verschlüsselte Text der Mail im Postausgang, bis Kladde ihn leert (Abschnitt 4). Ein solcher Link gilt 60 Minuten.

Sitzungen. Nach der Anmeldung setzt Kladde das Cookie __Host-kladde_sitzung mit einer zufälligen Kennung; in der Datenbank liegt nur ein Hashwert davon. Eine Sitzung gilt höchstens 30 Tage und endet nach 7 Tagen ohne Nutzung oder mit deiner Abmeldung. Mit der Abmeldung löscht Kladde sie sofort, sonst spätestens rund einen Tag nach ihrem Ende. Sie gehört zu deiner Mitgliedschaft in dem Mandanten, in dem du angemeldet bist, und damit zu dessen Daten (Abschnitt 1).

Fehlgeschlagene Anmeldungen. Scheitert eine Passwortprüfung an deinem Konto, zählt Kladde das am Konto. Kein Mandant erfährt von einem einzelnen Fehlversuch. Bei deiner nächsten erfolgreichen Anmeldung setzt Kladde den Zähler zurück und zeigt dir einmal, wie viele Fehlversuche es gab und wann der letzte war.

Schutz gegen Durchprobieren. Kladde begrenzt die Zahl der Versuche je eingegebener E-Mail-Adresse, auch wenn es zu ihr kein Konto gibt, und je Netz, aus dem eine Anfrage kommt. Dafür speichert es Zähler mit dem Beginn ihres Zeitfensters unter einem Schlüssel, der mit einem geheimen Schlüssel aus dem Zweck und der Kennung gebildet ist; die Adresse selbst steht nicht darin. Von deiner IP-Adresse geht dabei nur der Netzanteil ein (bei IPv4 die ersten drei Blöcke, bei IPv6 die ersten 64 Bit), nicht die vollständige Adresse. Kladde zählt jeden Versuch in einer solchen Zeile, bis die Grenze erreicht ist; gibt es noch keine Zeile oder ist ihr Zeitfenster abgelaufen, legt der Versuch sie an oder beginnt sie neu. Auch ein erfolgreicher Versuch hinterlässt so eine Zeile. Kladde löscht sie einmal am Tag, sobald ihr Zeitfenster mehr als 48 Stunden zurückliegt, also spätestens rund drei Tage nach dem letzten Versuch.

Ereignisse an deinem Konto in den Protokollen der Mandanten. Einige Vorgänge betreffen dein Konto als Ganzes und damit jeden Mandanten, dem du angehörst: Passwort geändert, Passwort zurückgesetzt, Sitzungen beendet, Konto von uns gesperrt oder entsperrt, Zurücksetzen des Passworts von uns ausgelöst. Kladde trägt sie in das Protokoll jedes Mandanten ein, in dem deine Mitgliedschaft aktiv ist, mit Zeitpunkt und Art des Vorgangs und ohne Netzadresse. Mit dem Eintrag werden sie Daten des Mandanten (Abschnitt 1); wie lange sie dort stehen, sagt Abschnitt 5 (beendete Sitzungen wie Anmeldungen, die übrigen Vorgänge wie Änderungen). Ein Mandant erfährt dabei nicht, welchen anderen Mandanten du angehörst. Sperren oder entsperren wir dein Konto, legt Kladde außerdem für die Inhaber dieser Mandanten eine Mail an, die dich mit dem Namen nennt, unter dem du dort geführt wirst; wie der Eintrag im Protokoll gehört sie zu den Daten des Mandanten (Abschnitt 4).

Sperre deines Kontos. Wir sperren ein Konto nur aus den Gründen, die der Nutzungsvertrag in Abschnitt 3 nennt. Die Sperre wirkt in allen Mandanten, denen du angehörst: Kladde beendet deine Sitzungen sofort und macht offene Links zum Zurücksetzen ungültig; eine Einladung lässt sich mit gesperrtem Konto nicht annehmen. Außer bei Gefahr im Verzug kündigen wir dir die Sperre vorher von Hand an; das entfällt, solange auch die Mitteilung an dich entfällt (unten), und wenn wir dein Konto sperren, weil ein Kunde einen nicht mehr erreichbaren Inhaber ersetzen muss. Wir teilen dir die Sperre mit den Gründen von Hand per Mail aus einem Postfach von KYTH an die Adresse deines Kontos mit; beruht sie auf deinen Inhalten, spätestens mit Beginn der Sperre. Dieselbe Mitteilung erhält der Kunde, in dessen Mandant der Grund liegt oder der die Sperre verlangt hat (Nutzungsvertrag, Abschnitt 3). Nur bei einer Sperre, die nicht auf deinen Inhalten beruht, kann die Mitteilung an dich unterbleiben, solange sie den Zweck der Sperre vereiteln würde. Die übrigen Mandanten, in denen deine Mitgliedschaft aktiv ist, erfahren nur, dass dein Konto gesperrt ist, nicht die Gründe.

Zwecke und Rechtsgrundlagen. Wir verarbeiten diese Daten, um dir den Zugang zu deinen Mandanten zu geben und ihn gegen Missbrauch zu schützen. Bist du selbst unser Kunde, ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag). Sonst ist es Art. 6 Abs. 1 lit. f DSGVO: unser Interesse und das der Mandanten, den Personen, die für sie arbeiten, einen sicheren Zugang zu geben. Fehlversuche, Zähler und die Ereignisse in den Protokollen der Mandanten, auch die Weitergabe einer Sperre oder Entsperrung deines Kontos an diese Mandanten für den Hinweis an ihre Inhaber, dienen der Sicherheit (Art. 6 Abs. 1 lit. f mit Art. 32 DSGVO); die Mandanten haben ein berechtigtes Interesse daran, zu sehen, was mit den Zugängen zu ihrem Bereich geschieht. Muss ein Kunde einen Inhaber ersetzen, der nicht mehr erreichbar ist, sperren wir auf sein Verlangen dessen Konto, um dem Kunden den Zugang zu seinem Mandanten zurückzugeben (Art. 6 Abs. 1 lit. f DSGVO: sein Interesse, über seinen Mandanten zu verfügen); die Sperre dauert nur so lange wie nötig. Die Ankündigung und die Mitteilung einer Sperre mit ihren Gründen an dich und an den Kunden, in dessen Mandant der Grund liegt oder der die Sperre verlangt hat, stützen wir auf Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, das des Kunden und deines, eine Sperre nachvollziehbar zu machen und ihr widersprechen zu können. Beruht die Sperre auf Inhalten, ist Rechtsgrundlage der Mitteilung Art. 6 Abs. 1 lit. c DSGVO mit Art. 17 der Verordnung (EU) 2022/2065.

Ohne E-Mail-Adresse und Passwort kannst du Kladde nicht nutzen. Eine Pflicht, sie anzugeben, besteht nicht.

Speicherdauer. Dein Konto bleibt gespeichert, solange in einem Mandanten eine Mitgliedschaft dazu besteht, gleich ob eingeladen, aktiv oder gesperrt. Eine Mitgliedschaft lässt sich in Kladde nicht löschen, nur sperren. Fällt die letzte Mitgliedschaft deines Kontos weg, gleich aus welchem Grund (auf deinen Wunsch, auf Weisung eines Mandanten oder weil wir die Daten eines Mandanten nach dem Ende seines Vertrags oder ohne Vertragsschluss gelöscht haben, Abschnitt 1), löschen wir dein Konto von Hand.

Möchtest du dein Konto löschen lassen, schreib an datenschutz@kyth.systems: Wir leiten dein Anliegen zu deinen Mitgliedschaften an die Mandanten weiter, denen du angehörst (Abschnitt 11), und löschen deine Mitgliedschaften von Hand, soweit die Mandanten das anweisen. Weist ein Mandant die Löschung deiner Mitgliedschaft nicht an, bleibt sie dort; an ihr hängen die Adresse und der Suchwert deines Kontos. Solange sie besteht, löschen wir auf deinen Wunsch von Hand alles an deinem Konto, was die Mitgliedschaft nicht braucht: den Prüfwert deines Passworts, den Zeitpunkt deiner letzten Anmeldung, Zahl und Zeitpunkt der Fehlversuche und offene Links zum Zurücksetzen. Anmelden kannst du dich dann erst wieder, wenn du eine Einladung annimmst und dabei ein Passwort setzt. Dass ein Mandant die Löschung nicht anweist, teilen wir dir binnen eines Monats von Hand mit den Gründen mit; du kannst dich dann bei einer Aufsichtsbehörde beschweren (Abschnitt 11) oder einen gerichtlichen Rechtsbehelf einlegen.

Die Zahl der Fehlversuche steht bis zu deiner nächsten erfolgreichen Anmeldung am Konto. Die Zähler gegen Durchprobieren löscht Kladde spätestens rund drei Tage nach dem letzten Versuch, Links zum Zurücksetzen 30 Tage nach Ablauf, Einlösung oder Entwertung.

3. Einladung durch einen Mandanten

Zu Kladde kommst du nur auf Einladung. Ein Inhaber eines Mandanten, oder wir beim Einrichten eines neuen Mandanten und beim Ersatz eines nicht mehr erreichbaren Inhabers, geben deinen Namen, deine Funktion und deine E-Mail-Adresse ein und legen deine Rolle fest; laden wir ein, ist sie immer Inhaber. Daraus entstehen deine Mitgliedschaft in diesem Mandanten (Daten des Mandanten) und, wenn es zu deiner Adresse noch keines gibt, dein Konto (Abschnitt 2).

Woher die Daten stammen. Diese Angaben haben wir nicht von dir, sondern von dem Mandanten, der dich einlädt (Art. 14 DSGVO). Die Einladungsmail, die Kladde dafür anlegt (Abschnitt 4), nennt den Namen, unter dem du eingeladen wurdest, den Namen des Mandanten und die Adresse dieser Erklärung.

Was der Einladende erfährt. Ein Inhaber, der dich einlädt, erfährt nicht, ob es zu deiner Adresse schon ein Konto gibt, welchen Status es hat und welchen anderen Mandanten du angehörst. Die Inhaber sehen in der Benutzerliste deinen Namen, deine Funktion, deine E-Mail-Adresse, Rolle und Status, ob deine Einladung offen ist und wann du dich zuletzt in diesem Mandanten angemeldet oder in ihn gewechselt hast. Wir als Betreiber sehen den Status deines Kontos (Abschnitt 8).

Der Link. Der Link in der Einladungsmail gilt 7 Tage und nur einmal. Kladde speichert ihn als Hashwert mit seinen Zeitpunkten und löscht ihn 30 Tage nach Ablauf, Annahme oder Entwertung. Den Link selbst enthält nur der verschlüsselte Text der Einladungsmail im Postausgang, höchstens 7 Tage lang, und derselbe Hashwert steht bis zu 90 Tage in der Zeile der Mail (Abschnitt 4). Nimmst du die Einladung nicht an, verfällt der Link. Deine Mitgliedschaft bleibt beim Mandanten trotzdem gespeichert, als „eingeladen“ oder, wenn ein Inhaber sie sperrt, als „gesperrt“; zieht er die Einladung zurück, werden nur die offenen Links ungültig. Mit der Mitgliedschaft bleibt dein Konto bestehen (Abschnitt 2). Ein Konto ohne Passwort kann sich nicht anmelden. Möchtest du dort nicht mehr geführt werden, wende dich an den Mandanten; schreibst du uns, leiten wir deine Bitte an ihn weiter (Abschnitt 11).

Rechtsgrundlage. Für dein Konto gilt Abschnitt 2: Art. 6 Abs. 1 lit. b DSGVO, wenn du selbst der Kunde bist, beim Einrichten des Mandanten als vorvertragliche Maßnahme, sonst Art. 6 Abs. 1 lit. f DSGVO: das Interesse des Mandanten, dir Zugang zu seinem Bereich zu geben, und unser Interesse, Kladde dafür bereitzustellen. Deine Mitgliedschaft verarbeiten wir im Auftrag des Mandanten, vor dem Vertragsschluss als Verantwortlicher (Abschnitt 1).

4. Systemmails, Speicherort und Sicherung

Systemmails. Kladde legt vier Arten von Mails an:

• die Einladung, an die eingeladene Adresse;
• den Link zum Zurücksetzen des Passworts, an die Adresse deines Kontos;
• den Hinweis nach einer Änderung deines Passworts, an die Adresse deines Kontos;
• den Hinweis an die Inhaber eines Mandanten, wenn wir dort einen Zugang angelegt, den Mandanten gesperrt oder entsperrt oder ein Konto gesperrt oder entsperrt haben.

Den Hinweis an die Inhaber legt Kladde für jeden Inhaber an, der seine Einladung angenommen hat, auch für gesperrte, an seine Einladungsadresse; geht es um ein Konto, nennt er die betroffene Person mit ihrem Namen in diesem Mandanten. Gründe nennt er nicht. Die Mails sind reiner Text und tragen am Fuß die Pflichtangaben unserer Gesellschaft. Kladde versendet sie per SMTP mit TLS aus einem eigenen Postfach über die Mailserver der INWX GmbH, Berlin, die für uns als Auftragsverarbeiter arbeitet und laut Vertrag ausschließlich in der EU oder im EWR verarbeitet. Scheitert ein Versuch, versucht Kladde es erneut, insgesamt höchstens sieben Mal in rund neun Stunden. Kladde leert Empfänger und Text sofort, sobald eine Mail versandt ist, der Mailserver den Empfänger oder die Mail endgültig ablehnt oder auch der siebte Versuch scheitert. Eine Mail, deren Link inzwischen abgelaufen oder ungültig ist, versendet Kladde nicht mehr und leert sie ebenso. Antworten und Unzustellbarkeitsmeldungen, die in diesem Postfach ankommen, löschen wir von Hand, sobald wir sie bearbeitet haben, spätestens nach 90 Tagen. Wir bearbeiten sie nach Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, Zustellfehler zu erkennen und Nachrichten zu beantworten.

Empfänger und Text einer Mail, einschließlich des Betreffs und eines Links darin, liegen verschlüsselt im Postausgang von Kladde. Spätestens 7 Tage nach dem Anlegen löscht Kladde Empfänger und Text. Den Rest der Zeile (Art der Mail, Zeitpunkte, Zahl der Versuche, Fehlerkennung und den Hashwert eines Links) löscht Kladde nach 90 Tagen.

Die Mails an die Adresse deines Kontos dienen den Zwecken in Abschnitt 2 und haben dessen Rechtsgrundlage; für sie sind wir selbst verantwortlich. Einladungen und alle Hinweise an die Inhaber, auch die über die Sperre oder Entsperrung eines Kontos, verarbeiten wir im Auftrag des Mandanten; was davon vor der ersten Zustimmung entsteht, bis dahin als Verantwortlicher (Abschnitt 1).

Speicherort. Kladde läuft auf einem Server der IONOS SE in einem Rechenzentrum in Berlin. Die Datenbank liegt dort auf einem verschlüsselten Datenträger, dessen Schlüssel nicht auf dem Server gespeichert ist; nach einem Neustart des Servers entsperrt ihn ein Geschäftsführer von Hand.

In der Datenbank verschlüsselt Kladde einzelne Felder (AES-256-GCM): die E-Mail-Adressen der Konten, der Mitgliedschaften und unserer Betreiberkonten, die Geheimnisse unserer zweiten Anmeldestufe, Empfänger und Text der Mails im Postausgang und die IBAN der Rechnungsköpfe. Den Schlüssel dafür bekommt Kladde aus seinen Einstellungen; in der Datenbank liegt er nicht. Nicht feldweise verschlüsselt sind insbesondere Namen und Funktionen, der Name des Mandanten, Firmenprofil, Rechnungsköpfe außer der IBAN, Logos, Protokolle, Zustimmungsnachweise und Freigaben des Support-Zugangs. Die IBAN zeigt Kladde niemandem vollständig, nur mit ihren letzten vier Stellen.

Kladde setzt außerhalb der Entwicklung den Sicherheitskopf HSTS, der deinen Browser anweist, Kladde nur verschlüsselt aufzurufen. Inhalte von Kladde bekommst du nur über eine verschlüsselte Verbindung (HTTPS); rufst du Kladde über unverschlüsseltes HTTP auf, leitet der Server dich auf HTTPS um.

Sicherung. Jeden Tag sichern wir die vollständige Datenbank. Die Sicherung wird verschlüsselt, bevor sie den Server verlässt, und zwar so, dass nur die beiden Geschäftsführer sie mit einem Schlüssel öffnen können, den sie außerhalb des Servers verwahren. Sie liegt im Objektspeicher der IONOS Cloud GmbH in einem Rechenzentrum in Berlin, ist dort 90 Tage für niemanden löschbar, auch nicht für uns, und wird nach 95 Tagen automatisch gelöscht; der Speicher führt diese Löschung mit wenigen Tagen Verzug aus. Auf unserem Server bleiben außerdem verschlüsselt die jüngste Sicherung, die im Objektspeicher angekommen ist, und jede spätere, deren Ablage dort gescheitert ist; sobald eine neue im Objektspeicher angekommen ist, löscht der Server alle älteren. Löschen wir Daten in Kladde, bleiben sie in den schon erstellten Sicherungen, bis diese nach 95 Tagen verschwinden; müssen wir Kladde in dieser Zeit aus einer Sicherung wiederherstellen, löschen wir sie danach erneut. Wir verwenden eine Sicherung nur, um Kladde nach einer Störung wiederherzustellen und um diese Wiederherstellung zu proben. Die Probe machen wir mindestens halbjährlich: Ein Geschäftsführer entschlüsselt eine Sicherung auf seinem Rechner, ohne sie dort unverschlüsselt zu speichern, und spielt sie über eine verschlüsselte Verbindung in eine Wegwerf-Datenbank auf unserem Server ein. Diese Datenbank hat keine Verbindung nach außen, hält die Daten nur im Arbeitsspeicher und wird nach der Probe gelöscht. Für die Daten, für die wir verantwortlich sind, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f mit Art. 32 Abs. 1 lit. c DSGVO; die Daten der Mandanten sichern wir in ihrem Auftrag.

5. Protokoll

Das Protokoll des Mandanten. Jeder Mandant hat ein Protokoll; es gehört zu den Daten des Mandanten, und wir führen es in seinem Auftrag. Kladde hängt Zeilen nur an und kann sie weder ändern noch löschen. Darin stehen Zeitpunkt, wer gehandelt hat (eine Person über die Kennung ihrer Mitgliedschaft oder wir als Betreiber), was geschehen ist, woran, und bei Angaben alte und neue Werte: beim Anlegen von Firmenprofil und Rechnungskopf alle Felder als neuen Wert, bei späteren Änderungen die geänderten Felder, bei einer Mitgliedschaft Rolle und Status, wenn ein Inhaber einlädt, sperrt, entsperrt oder die Rolle ändert, bei einer Zustimmung die Fassung und bei einer Freigabe des Support-Zugangs ihre Dauer. Das Annehmen einer Einladung, einen Zugang, den wir anlegen, und das Archivieren oder Wiederherstellen eines Rechnungskopfs hält es nur mit der Art der Handlung fest. Von einem Logo hält es nur Medientyp, Maße und Prüfsumme fest. Passwörter, Links und andere Geheimnisse stehen nie darin, eine IBAN nur mit ihren letzten vier Stellen; die übrigen alten und neuen Werte stehen im Klartext darin.

Zeilen zu Handlungen einer Person tragen dazu ihre gekürzte Netzadresse (bei IPv4 die ersten drei Blöcke, bei IPv6 die ersten 64 Bit). Das gilt etwa für Anmeldung, Abmeldung, Annehmen einer Einladung, Einladen, Sperren, Änderungen an Firmenprofil, Logo und Rechnungsköpfen, Freigabe des Support-Zugangs und Zustimmung. Zeilen zu unseren Handlungen als Betreiber in diesem Mandanten tragen unsere eigene Netzadresse, ebenso gekürzt. Keine Netzadresse tragen die Ereignisse an deinem Konto (Abschnitt 2) und die Anmeldung beim Wechsel aus einem anderen Mandanten. Fehlgeschlagene Anmeldungen stehen in keinem Protokoll eines Mandanten.

Das Protokoll sehen die Inhaber des Mandanten in den Einstellungen. Die Seite zeigt den Zeitpunkt, die handelnde Person mit dem Namen, unter dem sie in diesem Mandanten geführt wird (findet Kladde keinen, „Eine Person im Mandanten“), bei unseren Handlungen „Der Betreiber“, und die Art der Handlung. Die übrigen Angaben einer Zeile, etwa alte und neue Werte und die Netzadresse, liefert Kladde den Inhabern mit, zeigt sie auf der Seite aber nicht an. In Kladde sehen wir das Protokoll nur in der Support-Ansicht (Abschnitt 8); ohne Freigabe kann unser Betreiberbereich es nur ergänzen, nicht lesen. Von Hand greifen wir nur nach Abschnitt 8 darauf zu. Das Protokoll dient der Sicherheit und der Nachvollziehbarkeit von Änderungen; wir werten es nicht aus, um Leistung oder Verhalten von Personen zu kontrollieren.

Einträge zu Anmeldungen, Abmeldungen, beendeten Sitzungen und zur Nutzung der Support-Ansicht (Öffnen, Anfragen, Beenden) bewahren wir 12 Monate auf; einmal im Monat löschen wir von Hand alle, die älter sind, sodass keiner länger als 13 Monate im Protokoll steht. Einträge zu Änderungen, auch zu Freigabe und Widerruf des Support-Zugangs, bewahren wir auf, bis wir die übrigen Daten des Mandanten nach dem Ende des Abrufzeitraums von Hand löschen, spätestens 30 Tage danach (Nutzungsvertrag, Abschnitt 10; Auftragsverarbeitungsvertrag, Abschnitt 11).

Unser Protokoll als Betreiber. Was wir selbst als Betreiber tun, hält Kladde in einem eigenen Protokoll fest. Das sind:

• einen Mandanten anlegen, sperren oder entsperren;
• einen Zugang anlegen, eine Einladung neu ausstellen, das Zurücksetzen eines Passworts auslösen;
• ein Konto ansehen, sperren oder entsperren;
• die Support-Ansicht öffnen und ausdrücklich beenden;
• unsere Anmeldung im Betreiberbereich nach der zweiten Stufe;
• die Verwaltung unserer Betreiberkonten über die Kommandozeile auf dem Server (Anlegen, neues Passwort, Zurücksetzen der zweiten Stufe, Sperren, Entsperren).

Eine Zeile nennt den Zeitpunkt, wer von uns was getan hat, die Kennungen von Mandant, Konto oder Mitgliedschaft, beim Ansehen eines Kontos den Anlass, den wir als kurzen Text eingeben, und unsere gekürzte Netzadresse. Zeilen zur Kommandozeile nennen weder eine Person noch eine Netzadresse. Inhalte des Mandanten stehen dort nicht. Nicht festgehalten werden unsere Abmeldung, gescheiterte Anmeldeversuche, eine Probemeldung an unsere Fehlererfassung ohne Daten über dich und das Ansehen der Übersicht, der Mitgliedschaften eines Mandanten und dieses Protokolls. Zweck ist der Nachweis, dass wir nur tun, was wir dürfen (Art. 5 Abs. 2 DSGVO); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Wir bewahren diese Einträge bis zum Ende des dritten Kalenderjahres nach dem Eintrag auf und löschen sie im Januar darauf von Hand.

6. Vertragsschluss und Zustimmungsnachweis

Den Vertrag über einen Mandanten schließt für den Kunden ein Inhaber, also eine Person mit der Rolle Inhaber in diesem Mandanten. Dabei speichert Kladde als Nachweis: den Mandanten, die Kennung der Mitgliedschaft, Name und Funktion, wie die Person sie eingegeben hat, ihre beiden Erklärungen, die Fassung der Texte, Prüfsummen ihres Wortlauts (der vier Rechtstexte einschließlich des Impressums und der beiden Erklärungssätze), den Zeitpunkt und die gekürzte Netzadresse. Jede Zustimmung legt einen eigenen Nachweis an. Zweck ist der Nachweis, wer wann welcher Fassung zugestimmt hat. Rechtsgrundlage ist beim Vertragsschluss Art. 6 Abs. 1 lit. b DSGVO, wenn du selbst der Kunde bist, sonst Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, den Vertragsschluss und die Person, die ihn für den Kunden erklärt hat, belegen zu können. Für die Aufbewahrung danach ist es Art. 6 Abs. 1 lit. f DSGVO (Nachweis des Vertrags und Abwehr von Ansprüchen). Ohne Name und Funktion kommt der Vertrag nicht zustande.

Wir bewahren den Nachweis zehn Jahre nach dem Ende des Vertrags auf, damit wir den Vertragsschluss auch gegenüber spät geltend gemachten Ansprüchen nachweisen können, und löschen ihn danach von Hand; das Ende des Vertrags halten wir dafür außerhalb von Kladde fest. Mit den übrigen Daten des Mandanten wird er nicht gelöscht; mit ihm bleibt die Zeile des Mandanten gespeichert, auf die er verweist (Name, Kennung, Status, Zeitpunkte und Fassung der letzten Zustimmung). Dem Kunden, für den du zugestimmt hast, stellen wir ihn auf Anfrage von Hand bereit.

Die Daten unserer Kunden für den Vertrag (Firma, Anschrift, Ansprechpartner, Schriftwechsel) verarbeiten wir nach Art. 6 Abs. 1 lit. b DSGVO, Angaben zu Ansprechpartnern eines Kunden, der keine natürliche Person ist, nach Art. 6 Abs. 1 lit. f DSGVO (Abwicklung des Vertrags mit ihrem Unternehmen). Die Einladungsadressen der Inhaber, an die wir Mitteilungen nach dem Vertrag richten, verarbeiten wir nach Art. 6 Abs. 1 lit. b DSGVO, wenn du selbst der Kunde bist, sonst nach Art. 6 Abs. 1 lit. f DSGVO: unser Interesse und das des Kunden, Mitteilungen nach dem Vertrag an die Personen zu richten, die er als Inhaber bestimmt hat. Diese Fassung von Kladde ist unentgeltlich; Rechnungen an unsere Kunden entstehen dabei nicht. Die Vertragsdaten verarbeiten wir für die Dauer des Vertrags. Verträge und Schriftwechsel mit unseren Kunden bewahren wir als Handels- und Geschäftsbriefe auf, bis sechs Jahre seit dem Ende des Kalenderjahres vergangen sind, in dem wir sie erhalten oder abgesandt haben, mindestens aber bis zum Ende des Vertrags, und löschen sie dann von Hand (§ 257 Abs. 1 Nr. 2 und 3, Abs. 4 und 5 HGB, § 147 Abs. 1 Nr. 2 und 3, Abs. 3 und 4 AO; Art. 6 Abs. 1 lit. c DSGVO).

Wenn du uns schreibst. Schreibst du uns an datenschutz@kyth.systems oder hello@kyth.systems oder rufst du uns an, verarbeiten wir deine Angaben und unsere Antworten, um dein Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO für Anträge nach Abschnitt 11 (mit Art. 12 DSGVO) und für Hinweise auf rechtswidrige Inhalte über den Meldeweg im Impressum (mit Art. 16 der Verordnung (EU) 2022/2065), für alles Übrige Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, Anfragen zu beantworten. Zur Prüfung eines Hinweises wenden wir uns zuerst an den Kunden, in dessen Mandant der Inhalt liegt (Nutzungsvertrag, Abschnitt 7); lässt sich der Hinweis so nicht zeitnah klären, sehen wir uns den gemeldeten Inhalt von Hand in der Datenbank an, soweit das für die Prüfung nötig ist (Abschnitt 8). Deinen Namen und deine Adresse nennen wir dem Kunden nur, wenn das für die Prüfung unbedingt nötig ist. Diesen Schriftwechsel bewahren wir bis zum Ende des dritten Kalenderjahres nach Abschluss des Vorgangs auf und löschen ihn dann von Hand; für den Schriftwechsel mit unseren Kunden gilt der Absatz davor. Die Postfächer betreibt für uns die INWX GmbH (Abschnitt 9).

7. Aufruf der Seiten, Cookies und Fehlererfassung

Aufruf der Seiten. Wenn du eine Seite von Kladde aufrufst, auch ohne Anmeldung, verarbeitet der Server deine IP-Adresse, um die Seite auszuliefern. Der Code von Kladde schreibt Anfragen und Adressen nicht in sein Betriebsprotokoll. Weder Kladde noch der vorgelagerte Proxy auf demselben Server führen ein Zugriffsprotokoll. In der Datenbank speichert Kladde deine Netzadresse nur gekürzt: im Protokoll des Mandanten, im Zustimmungsnachweis und als Teil des Schlüssels der Zähler gegen Durchprobieren (Abschnitte 2, 5 und 6).

Cookies und Sitzungsspeicher. Kladde setzt nur Cookies, ohne die die Anmeldung nicht funktioniert: __Host-kladde_sitzung für deine Sitzung (30 Tage, bei jedem Wechsel des Mandanten neu gesetzt, ohne dass sich die Sitzung dadurch verlängert) und, für uns als Betreiber, __Host-kladde_betreiber für den Betreiberbereich und __Host-kladde_support für die Support-Ansicht, beide bis zum Schließen des Browsers. Alle drei gehen nur verschlüsselt an Kladde und sind für Skripte im Browser nicht lesbar. Gingen deiner Anmeldung Fehlversuche voraus, legt die Anmeldeseite deren Zahl und den Zeitpunkt des letzten im Sitzungsspeicher deines Tabs ab (sessionStorage); die Startseite löscht den Eintrag, sobald sie dir den Hinweis gezeigt hat, sonst verschwindet er mit dem Tab. Beides ist nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Kladde nutzt kein Tracking, keine Analyse und keine Inhalte fremder Server; Schriften, Skripte und Stile liefert Kladde selbst aus.

Protokoll der Anwendung. Kladde schreibt in sein Betriebsprotokoll, welche Art von Fehler bei welcher Funktion aufgetreten ist, welche regelmäßigen Aufgaben und Schritte gelaufen sind (etwa das tägliche Aufräumen und der Postausgang), Kennungen interner Datensätze, etwa einer Mail im Postausgang oder eines unserer Betreiberkonten, und Meldungen dieser Aufgaben. Dazu kommen Warnungen und Fehler der fremden Programmbausteine (Bibliotheken), die Kladde verwendet, und vom Anwendungsserver nur Meldungen zu Start, Ende und Arbeitsprozessen sowie seine Warnungen und Fehler; den Wortlaut dieser fremden Meldungen legt nicht Kladde fest. Kladde selbst schreibt dort nie Passwörter, Links, Adressen oder Texte von Mails und auch nicht die Kennung eines Mandanten. Die Datenbank schreibt bei einem Fehler weder den Befehl noch die betroffene Zeile in ihr Protokoll. Ein Lauf auf unserem Server löscht die Einträge beider Protokolle nach 14 Tagen.

Fehlererfassung. Bricht eine Anfrage oder eine Aufgabe im Hintergrund mit einem unerwarteten Fehler ab, geht eine Meldung an unsere eigene Fehlererfassung (GlitchTip) auf unserem Server. Sie nennt die Art des Fehlers und die Stelle im Programm, ohne den Text der Fehlermeldung und ohne Werte aus dem Programm, dazu die betroffene Funktion von Kladde, die Art der Anfrage und von den Angaben deines Browsers nur Browserkennung, Inhaltstyp und Länge der Anfrage. Sie enthält keine Formularinhalte, keine Adresszeile mit Parametern, keine Cookies und keine Angaben zur angemeldeten Person. Wir löschen sie nach 90 Tagen. Hinweise auf Störungen des Betriebs und der Sicherung schicken wir uns über Telegram. Sie enthalten keine Daten aus Kladde über dich oder andere Personen.

Die Sitzung und ihr Cookie gehören zu den Daten des Mandanten (Abschnitt 2). Für alle übrigen Verarbeitungen dieses Abschnitts ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO: unser Interesse an einem sicheren und störungsfreien Betrieb.

8. Support-Zugang und Einsicht durch uns

Support-Ansicht. In Kladde sehen wir die Inhalte eines Mandanten nur, wenn ein Inhaber den Support-Zugang in den Einstellungen freigegeben hat, für 1, 3 oder 7 Tage. Widerrufen kann ein Inhaber die Freigabe, solange er im Mandanten arbeiten kann; während einer Sperre des Mandanten oder solange die Zustimmung zu einer neuen Fassung aussteht, geht das nicht, in dieser Zeit zeigt die Support-Ansicht aber auch weder Firmenprofil, Rechnungsköpfe und Logos noch Benutzer und Protokoll. Kladde prüft die Freigabe bei jeder Anfrage; ein Widerruf wirkt deshalb sofort. Mit der Freigabe sehen wir den Bereich, wie ihn ein Inhaber sieht, also auch die Liste der Benutzer mit ihren E-Mail-Adressen und das Protokoll des Mandanten, aber keine Konten und keine anderen Mandanten. Die Ansicht ist nur lesend und gilt je Sitzung höchstens 60 Minuten, nie über das Ende der Freigabe hinaus. Jeder Abruf von Daten in der Support-Ansicht steht mit Zeitpunkt, wer von uns ihn ausgelöst hat, aufgerufener Funktion und unserer gekürzten Netzadresse im Protokoll des Mandanten, ebenso das Öffnen und das ausdrückliche Beenden der Ansicht; endet sie anders, etwa durch Ablauf oder Widerruf, entsteht dazu keine eigene Zeile. Das ist Verarbeitung im Auftrag des Mandanten.

Zugriff von Hand. Außerhalb von Kladde greifen wir nur aus diesen Gründen von Hand unmittelbar auf die Datenbank zu: um eine Weisung des Mandanten auszuführen (etwa ihm eine Kopie seiner Daten bereitzustellen oder Daten zu berichtigen oder zu löschen), um Anträge nach Abschnitt 11 zu erfüllen, um die Fristen aus Abschnitt 12 umzusetzen, um eine Störung zu beheben, um die Wiederherstellung einer Sicherung an einer Kopie zu proben (Abschnitt 4), um den Schlüssel der Verschlüsselung einzelner Felder zu wechseln, um einen Hinweis auf rechtswidrige Inhalte zu prüfen, der sich mit dem Kunden nicht zeitnah klären lässt (Abschnitt 6), um dich über eine Änderung dieser Erklärung zu benachrichtigen (Abschnitt 13) oder weil ein Gesetz uns dazu verpflichtet. Dafür brauchen wir keine Freigabe des Support-Zugangs. Soweit es um Daten eines Mandanten geht, greifen wir in seinem Auftrag zu, außer ein Gesetz verpflichtet uns zu dem Zugriff, etwa Art. 16 der Verordnung (EU) 2022/2065 zur Prüfung eines Hinweises (Art. 28 Abs. 3 lit. a DSGVO). Jeden dieser Zugriffe zeichnen wir von Hand mit Zeitpunkt, handelnder Person, Anlass und Grundlage auf, als Nachweis, dass wir nur tun, was wir dürfen (Art. 5 Abs. 2 DSGVO; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO). Die Aufzeichnung bewahren wir bis zum Ende des dritten Kalenderjahres nach dem Zugriff auf und löschen sie im Januar darauf von Hand. Davon getrennt sichert ein Lauf auf unserem Server die Datenbank täglich selbsttätig (Abschnitt 4).

Konto ansehen. Als Betreiber können wir ein Konto ansehen: Adresse, Status, ob ein Passwort gesetzt ist, die Zeitpunkte von Anlage, letzter Anmeldung und laufender Sperre, Zahl und Zeitpunkt der Fehlversuche und die Mitgliedschaften mit Mandant, Rolle und Status. Das tun wir nur mit einem Anlass, etwa einer Anfrage zu einem gesperrten Zugang, und jede Einsicht steht mit dem Anlass in unserem Protokoll (Abschnitt 5). In die Protokolle der Mandanten wird sie nicht eingetragen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser Interesse, Anfragen zu Zugängen zu beantworten und Kladde sicher zu betreiben.

Mitgliedschaften eines Mandanten. Zur Verwaltung und im Auftrag des Mandanten können wir die Liste seiner Mitgliedschaften ansehen: Name, Funktion, E-Mail-Adresse, Rolle, Status, letzte Nutzung, ob eine Einladung offen ist, und Kennung und Status des Kontos. Kladde hält dieses Ansehen in keinem Protokoll fest.

9. Empfänger

Unser Namensdienst (Cloudflare) beantwortet nur die Frage, unter welcher Adresse der Server von Kladde zu erreichen ist. Diese Namensabfrage stellt in der Regel der Namensdienst deines Internetanbieters, nicht dein Gerät. Deine Verbindung zu Kladde läuft nicht über Cloudflare, und ihre Inhalte erreichen Cloudflare nicht. An Behörden geben wir Daten nur, wenn ein Gesetz uns dazu verpflichtet.

10. Übermittlung in Drittländer

In Länder außerhalb der EU und des EWR übermitteln wir von uns aus keine Daten. Daten eines Mandanten übermitteln wir dorthin nur auf seine Weisung, etwa wenn er zu einem Anbieter dort wechselt (Nutzungsvertrag, Abschnitt 10). Kladde selbst baut außer zu seiner Datenbank, zum Mailserver der Systemmails und zu unserer eigenen Fehlererfassung keine Verbindung nach außen auf; die Namen dieser Server fragt es beim Namensdienst unseres Servers ab, ohne Daten über dich. Server, Datenbank und Sicherungen von Kladde und unsere Fehlererfassung stehen in Rechenzentren in Berlin. Die INWX GmbH verarbeitet die Inhalte unserer Postfächer und die Systemmails von Kladde laut Vertrag ausschließlich in der EU oder im EWR.

11. Deine Rechte

Dir stehen uns gegenüber diese Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Schreib dafür an datenschutz@kyth.systems. Eine Kopie deiner Daten stellen wir von Hand zusammen. Wir antworten unentgeltlich und innerhalb eines Monats (Art. 12 Abs. 3 und 5 DSGVO).

Widerspruchsrecht. Du kannst jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, einer Verarbeitung widersprechen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die Daten dann nicht mehr, außer wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Daten eines Mandanten. Für deine Mitgliedschaft, das Protokoll und die Inhalte eines Mandanten ist der Mandant verantwortlich (Abschnitt 1). Richte deine Anliegen dazu bitte an ihn. Kommen sie bei uns an, leiten wir sie unverzüglich an den Mandanten weiter und sagen dir das.

Beschwerde. Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Keine automatisierte Entscheidung. Eine automatisierte Entscheidung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

12. Speicherdauer im Überblick

13. Änderungen dieser Erklärung

Ändert sich, was Kladde verarbeitet, ändern wir diese Erklärung und geben ihr eine neue Kennung. Ändern wir sie inhaltlich, schreiben wir dir das vorher von Hand per Mail an die Adresse deines Kontos, mit den Änderungen und dem Tag, ab dem sie gelten. Die Adresse deines Kontos lesen wir dafür von Hand aus der Datenbank (Abschnitt 8). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser Interesse und deines, dass du Änderungen dieser Erklärung erfährst. Die jeweils geltende Fassung steht ohne Anmeldung unter https://kladde.kyth.systems/rechtliches/datenschutz. Den Wortlaut einer früheren Fassung senden wir dir auf Anfrage an datenschutz@kyth.systems. Wollen wir deine Daten zu einem anderen Zweck verarbeiten als dem, für den wir sie erhoben haben, informieren wir dich vorher (Art. 13 Abs. 3 und Art. 14 Abs. 4 DSGVO).